GDPR – Povinnosti zamestnávateľa pri ochrane osobných údajov po skončení pracovného pomeru so zamestnancom

Mnohí zamestnávatelia archivujú spisy o svojich bývalých zamestnancoch alebo pracovníkoch na dohodu, ktoré obsahujú ich osobné údaje. V článku si priblížime, aké povinnosti má zamestnávateľ v súvislosti s ochranou osobných údajov zamestnanca alebo pracovníka na dohodu po ukončení pracovného pomeru a za akých podmienok môže archivovať ich osobné údaje. 

Osobné údaje zamestnancov

Právo na ochranu osobných údajov je spojené s právom na ochranu súkromia. Osobná identita jednotlivca ako meno, priezvisko alebo fotografia tvoria súkromie osoby. Zamestnávatelia bežne spracúvajú osobné údaje jednotlivcov v čase, keď ešte nie sú ich zamestnancami v rámci výberových procesov alebo iných predzmluvných vzťahov, ako aj po ukončení pracovného pomeru v rámci archivácie dokumentov. Každý zamestnávateľ v praxi prichádza do kontaktu s osobnými údajmi svojich zamestnancov a tak nie je vylúčené, že aj na pracovisku môže dôjsť k nesprávnej manipulácii alebo zneužitiu osobných údajov. Je preto potrebné prijať opatrenia v súvislosti s ochranou osobných údajov pri ich spracúvaní pred nástupom zamestnanca do pracovného pomeru aj po jeho ukončení.

Problematiku ochrany osobných údajov upravuje a príslušný právny rámec poskytuje najmä Nariadenie Európskeho parlamentu a Rady EÚ č. 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej len ako „nariadenie“), ako aj zákon č. 18/2018 Z. z. o ochrane osobných údajov (ďalej len ako „zákon o ochrane osobných údajov“).

Zákon o ochrane osobných údajov stanovuje definíciu, čo považujeme za osobné údaje:

Osobnými údajmi sú údaje týkajúce sa identifikovanej fyzickej osoby alebo identifikovateľnej fyzickej osoby, ktorú možno identifikovať priamo alebo nepriamo, najmä na základe všeobecne použiteľného identifikátora, iného identifikátora, ako je napríklad meno, priezvisko, identifikačné číslo, lokalizačné údaje, alebo online identifikátor, alebo na základe jednej alebo viacerých charakteristík alebo znakov, ktoré tvoria jej fyzickú identitu, fyziologickú identitu, genetickú identitu, psychickú identitu, mentálnu identitu, ekonomickú identitu, kultúrnu identitu alebo sociálnu identitu.

TIP:

Takto definované osobné údaje sa musia priamo alebo nepriamo týkať identifikovanej osoby. Pritom platí, že osoba je určiteľná vtedy, keď ju možno bez vynaloženia neprimeraného úsilia možno identifikovať. Okrem toho, že tento údaj identifikuje jednotlivca, musí sa k nemu aj vzťahovať. Posúdenie toho, či možno získaný osobný údaj považovať za osobný, sa zároveň vždy vykonáva v rámci konkrétneho kontextu spracúvania.

Osobitnú kategóriu osobných údajov tvoria tzv. citlivé údaje. Ide o informácie, ktoré môžu pre dotknutú osobu predstavovať vyššie riziko ohrozenia práv a právom chránených záujmov.

Zákon o ochrane osobných údajov v tejto súvislosti ustanovuje nasledovné:

• genetickými údajmi sú osobné údaje týkajúce sa zdedených genetických charakteristických znakov fyzickej osoby alebo nadobudnutých genetických charakteristických znakov fyzickej osoby, ktoré poskytujú jedinečné informácie o fyziológii alebo zdraví tejto fyzickej osoby a ktoré vyplývajú najmä z analýzy biologickej vzorky danej fyzickej osoby,

• biometrickými údajmi sú osobné údaje, ktoré sú výsledkom osobitného technického spracúvania osobných údajov týkajúcich sa fyzických charakteristických znakov fyzickej osoby, fyziologických charakteristických znakov fyzickej osoby alebo behaviorálnych charakteristických znakov fyzickej osoby a ktoré umožňujú jedinečnú identifikáciu alebo potvrdzujú jedinečnú identifikáciu tejto fyzickej osoby, ako najmä vyobrazenie tváre alebo daktyloskopické údaje,

• údajmi týkajúcimi sa zdravia sú osobné údaje týkajúce sa fyzického zdravia alebo duševného zdravia fyzickej osoby vrátane údajov o poskytovaní zdravotnej starostlivosti alebo služieb súvisiacich s poskytovaním zdravotnej starostlivosti, ktorými sa odhaľujú informácie o jej zdravotnom stave.

Zakazuje sa spracúvanie osobitných kategórií osobných údajov

Osobitnými kategóriami osobných údajov sú údaje, ktoré odhaľujú rasový pôvod alebo etnický pôvod, politické názory, náboženskú vieru, filozofické presvedčenie, členstvo v odborových organizáciách, genetické údaje, biometrické údaje, údaje týkajúce sa zdravia alebo údaje týkajúce sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby. Zákon o ochrane osobných údajov v § 16 ustanovuje aj výnimky z tohto pravidla.

Príklady osobných údajov zamestnancov

Zamestnávatelia prichádzajú v praxi do kontaktu najčastejšie s nasledovnými osobnými údajmi dotknutých osôb:

• Identifikačné údaje: meno, priezvisko, rodné priezvisko, prezývka, dátum a miesto narodenia, číslo občianskeho preukazu, rodné číslo, číslo pasu, prípadne iného dokladu totožnosti, akademický titul, štátna príslušnosť, národnosť, fotografia,

• Kontaktné údaje: adresa trvalého/prechodného pobytu, telefónne číslo, e-mailová adresa, adresy na sociálnych sieťach,

• Prevádzkové údaje: register pracovného času (t. j. údaje o čase, kedy jednotliví pracovníci začínajú a končia pracovné zmeny, údaje o prestávkach a čase nezahrnutého do pracovného času,

• Lokalizačné údaje: údaje určujúce geografickú polohu zamestnanca (napr. pri používaní GPS), ako aj údaje zaznamenané v knihách jázd k služobným vozidlám,

• Citlivé údaje: údaje o zdravotnom stave (napr. tehotenstvo zamestnankyne, invalidita zamestnanca, výsledky preventívnych prehliadok alebo vykonaných dychových skúšok na alkohol / drogy, odtlačky prstov, skeny očnej sietnice),

• Iné identifikátory o danom zamestnancovi: v rámci jeho ekonomickej identity (napr. údaje o mzde, číslo bankového účtu, fyzické identifikátory ako je hlas zamestnanca, videozáznamy pohybu osoby, mentálne identifikátory ako správanie zamestnanca uvedené v jeho pracovnom posudku a ďalšie.

TIP:

Údaj o tom, že určitý zamestnanec si poranil ruku a je v dôsledku tohto pracovného úrazu po určitý čas práceneschopný, patrí medzi citlivé osobné údaje. Rovnako patria medzi osobné údaje informácie pochádzajúce z hodnotenia zamestnanca. Je to subjektívny druh informácií, ktorí môže hovoriť napríklad o tom, že daný zamestnanec je veľmi pracovitý a preto si zaslúži povýšenie alebo naopak.

Dotknuté osoby a prevádzkovateľ

Zákon o ochrane osobných údajov ustanovuje, že dotknutá osoba je fyzická osoba, ktorej osobné údaje sa spracúvajú. V oblasti pracovnoprávnych vzťahov môžu byť dotknutými osobami nasledovné fyzické osoby:

• zamestnanci vykonávajúci faktický pracovný pomer,
• zamestnanci vykonávajúci práce mimo pracovného pomeru,
• uchádzači o zamestnanie,
• dočasne pridelení zamestnanci,
• rodinní príslušníci zamestnancov, ak sa ich údaje spracúvajú v súvislosti s údajmi dotknutých osôb,
• iné.

Zamestnávateľ vystupuje v tomto vzťahu ako prevádzkovateľ. Zákon o ochrane osobných údajov označuje za prevádzkovateľa každého, kto sám alebo spoločne s inými vymedzí účel a prostriedky spracúvania osobných údajov a spracúva osobné údaje vo vlastnom mene; prevádzkovateľ alebo konkrétne požiadavky na jeho určenie môžu byť ustanovené v osobitnom predpise alebo medzinárodnej zmluve, ktorou je Slovenská republika viazaná, ak takýto predpis alebo táto zmluva ustanovuje účel a prostriedky spracúvania osobných údajov.

Počas trvania pracovného pomeru tak zamestnávateľ spracúva osobné údaje svojich zamestnancov najmä na základe:

• skutočnosti, že spracúvanie osobných údajov je nevyhnutné na splnenie zmluvy, ktorou je zmluvná strana dotknutá (zamestnanec ako dotknutá osoba),

• spracúvanie osobných údajov dotknutých osôb je nevyhnutné na splnenie určitej jednej alebo viacerých zákonných povinností prevádzkovateľa (zamestnávateľa) – zamestnávateľ napríklad spracúva osobné údaje zamestnancov na účely splnenia povinnosti vedenia mzdového listu podľa § 595/2003 Z. z. o dani z príjmov v znení neskorších predpisov.

Spracúvanie osobných údajov po ukončení pracovného pomeru

V prípade zániku pracovného pomeru zamestnanca prichádzajú do úvahy nasledovné možnosti:

• okamžitý výmaz / likvidácia osobných údajov dotknutej osoby. Tento prípad nastáva v praxi väčšinou vtedy, ak odpadli všetky účely pre spracúvanie osobných údajov,

• existencia určitého účelu, na základe ktorého možno aj po ukončení pracovného pomeru uchovávať osobné údaje bývalého zamestnanca.

Účel predstavuje prvý krok k práci s osobnými údajmi, pretože vymedzuje dôvod spracúvania osobných údajov. Účel si určuje každý zamestnávateľ, alebo mu vyplýva z právneho predpisu. Musí byť zákonný, vopred určený, aby bolo zamestnancovi alebo pracovníkovi vopred jasné, s akým cieľom poskytuje zamestnávateľovi svoje osobné údaje. Vymedzenie účelu tak v praxi zodpovedá zásade minimalizácie osobných údajov.

TIP:

Na účely identifikácie zmluvnej strany zamestnanca pri podpise pracovnej zmluvy napríklad postačuje uvedenie mena, priezviska, adresy trvalého pobytu, prípadne roku narodenia. Niektorí zamestnávatelia však požadujú aj uvedenie rodného mena, miesta narodenia, štátnej príslušnosti, občianstva, pričom takéto zhromažďovanie osobných údajov je v rozpore so zásadou minimalizácie. Na účely získavania osobných údajov potrebných k plneniu daňových a iných povinností, môžu zamestnávatelia využiť na to určené osobitné formuláre.

Prvotne ustanovený účel spracúvania osobných údajov je potrebné rešpektovať po celú dobu spracúvania. Zákon ustanovuje výnimky z tohto pravidla:

• privilegované účely – spracúvanie osobných údajov vo verejnom záujem alebo na vedecké, historické či štatistické účely,
• spracúvať osobné údaje na iný než pôvodne vymedzený účel možno vtedy, ak nový účel úzko súvisí s pôvodným účelom.

Nariadenie v čl. 17 ustanovuje právo dotknutej osoby na výmaz osobných údajov – tzv. právo byť zabudnutý. Podľa tohto pravidla je prevádzkovateľ povinný bez zbytočného odkladu vymazať osobné údaje, ak je splnený niektorý z ustanovených dôvodov – napr., že osobné údaje už nie sú potrebné na účely, pre ktoré boli pôvodne získané a spracúvané.

V praxi to znamená, že pokiaľ zanikli všetky účely, na základe ktorých bol zamestnávateľ oprávnený spracúvať osobné údaje zamestnanca, musí ich po ukončení pracovného pomeru zamestnávateľ bezodkladne vymazať.

TIP:

Vymazanie osobných údajov znamená, že dokumenty obsahujúce tieto informácie je potrebné zničiť, skartovať alebo ich úplne vymazať z akýchkoľvek elektronických systémov a databáz, vrátane záloh. Výmaz osobných údajov je zároveň potrebné vykonať takým spôsobom, aby ich nebolo za žiadnych podmienok možné znovu obnoviť.

Medzi dokumentmi, ktoré je potrebné zničiť, sú napríklad nasledovné:

• životopisy,
• motivačné listy,
• kópie osobných dokladov (napr. občiansky preukaz, pas),
• kópie dokladov o dosiahnutom vzdelaní a predchádzajúcej praxi,
• údaje o rodinných príslušníkoch bývalých zamestnancov a pracovníkov.

Ak existuje účel, pre ktorý je zamestnávateľ oprávnený alebo povinný spracúvať (uchovávať) osobné údaje pracovníka aj po skončení jeho pracovného pomeru, môže ich spracúvať v rozsahu nevyhnutnom na tento účel, nie však širšom. Zamestnávateľ tak nie je oprávnený uchovávať osobnú zložku zamestnanca v celom rozsahu. Môže si ponechať len dokumenty nevyhnutné na plnenie konkrétneho účelu. V praxi sa najčastejšie jedná o informácie potrebné k mzdovej agende a davovým povinnostiam bývalého pracovníka.

TIP:

V týchto prípadoch je zamestnávateľ povinný ustanoviť účel spracúvania osobných údajov bývalého zamestnanca alebo pracovníka na dohodu. Musí to urobiť takým spôsobom, aby bol schopný preukázať účel spracúvania osobných údajov dotknutej osoby (bývalého zamestnanca alebo pracovníka) pri kontrole zo strany Úradu na ochranu osobných údajov SR. Osobné údaje tak nemôže zamestnávateľ spracúvať len preto, že by sa mu v budúcnosti mohli niekedy ešte hodiť.

Čo môže byť účelom, na základe ktorého môže zamestnávateľ spracúvať osobné údaje na po odchode zamestnanca alebo pracovníka?

• Archivácia – zamestnávateľovi vyplýva z viacerých zákonov povinnosť archivovať po určitú dobu mzdové listy (napr. zákon 595/2003 Z. z. o dani z príjmov v znení neskorších predpisov alebo zákon č. 431/2002 Z. z. o účtovníctve v znení neskorších predpisov),

• Uplatnenie právnych nárokov na strane zamestnávateľa alebo ochrana jeho právnych nárokov – v praxi sa môže stať, že bývalý zamestnanec zažaluje zamestnávateľa o náhradu škody a situácia môže byť aj opačná.

V prípade porušenia povinností zamestnávateľa by mohol byť vystavený hrozbe pokuty až do výšky 20 miliónov eur, v prípade podniku do 4 % celkového svetového ročného obratu za predchádzajúci účtovný rok, podľa toho, ktorá suma je vyššia.

Právne základy spracúvania osobných údajov

Zamestnávateľ môže zákonným spôsobom spracúvať osobné údaje dotknutých osôb na základe relevantného právneho základu. Podľa čl. 6 nariadenia a § 13 zákona o ochrane osobných údajov môže spracúvať osobné údaje na základe aspoň jedného z týchto právnych základov:

• súhlas dotknutej osoby,
• spracúvanie osobných údajov na účely plnenia zmluvy,
• spracúvanie osobných údajov podľa osobitného predpisu alebo na základe medzinárodnej zmluvy,
• spracúvanie osobných údajov nevyhnutné na ochranu života, zdravia alebo majetku dotknutej osoby alebo inej fyzickej osoby,
• spracúvanie osobných údajov nevyhnutné na splnenie úlohy realizovanej vo verejnom záujem alebo pri výkone verejnej moci zverenej prevádzkovateľovi,
• spracúvanie osobných údajov nevyhnutné na účely oprávneného záujmu.

V prípade zamestnávateľa prichádza v praxi najčastejšie do úvahy súhlas dotknutej osoby a spracúvanie osobných údajov na oprávnené účely.

Zákon o ochrane osobných údajov vyžaduje, aby bol súhlas vždy vážny a slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby vo forme vyhlásenia alebo jednoznačného potvrdzujúceho úkonu, ktorým dotknutá osoba vyjadruje súhlas so spracúvaním svojich osobných údajov.

TIP:

Forma súhlasu nie je výslovne upravená. Prevádzkovateľ však musí vedieť hodnoverne preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na daný účel. Mlčanie, či vopred predtlačené a zaškrtnuté políčka nemožno považovať za takto daný súhlas.  

O oprávnený záujem ako právny základ spracúvania osobných údajov ide napríklad vtedy, ak medzi dotknutou osobou a prevádzkovateľom už existuje vzťah, napríklad pracovnoprávny vzťah. Oprávnený záujem prevádzkovateľa však nikdy nesmie prevažovať nad záujmami alebo právami dotknutej osoby. Pri kontrole je tak prevádzkovateľ povinný preukázať, akým spôsobom vyriešil tento problém.  

Záverom

Na záver možno ešte spomenúť, že medzi základné povinnosti spracúvania osobných údajov, ktoré neminú ani zamestnávateľov, patrí informačná povinnosť. Dotknuté osoby sú oprávnené byť informované o spracúvaní osobných údajov. V tomto prípade sa vyžaduje iniciatívne konanie na strane zamestnávateľa, v rámci ktorého je povinný poskytnúť zamestnancom alebo pracovníkom informácie o získavaní a spracúvaní ich osobných údajov. Pri kontrole je opäť povinný preukázať, že dotknuté osoby informoval ešte predtým, ako pristúpil k získavaniu a spracúvaniu ich osobných údajov.

Tieto povinnosti sú vymenované v zákone o ochrane osobných údajov a je to relatívne široký zoznam. Odporúčame preto zamestnávateľom, aby tejto oblasti venovali náležitú pozornosť. Nová legislatíva sa v porovnaní s pôvodnou zmenila, niektoré povinnosti prevádzkovateľom vypadli a iné pribudli. Je preto potrebné prejsť všetky dokumenty v oblasti pracovnoprávnych vzťahov a upraviť ich v súlade s legislatívou, ktorá vstúpila do účinnosti 25. mája 2018.

K téme